ORGANIZAÇÕES E SEGURANÇA INFORMÁTICA

Transcrição

1 UM ANO DE LOUCURA ORGANIZAÇÕES E SEGURANÇA INFORMÁTICA Nuno Carvalho

2 Índice Prefácio 9 Notação e Glossário 11 1.Introdução 17 2.Legislação 22 3.Política de Segurança da Empresa 36 4.Segurança Física Protecções contra pessoas Protecções contra incidentes (Segurança dos Ambientes) 53 5.Segurança Lógica Anti Vírus Firewall Passwords Windows Server Unix Controlo de Acessos 73 6.Segurança Rede Proteger Activos de Rede Esquemas de rede Protecção dos dados na Rede 81 7.Segurança Redes sem Fios 87 8.Ataques Vírus Spyware Spam Sniffing Phishing Denial of Service Spoofing Software Exploitation 100 7

3 NUNO CARVALHO 8.9.Data Jacking Procedimentos/Actividades Actualização dos Sistemas Cópias de Segurança (Backups) Auditoria Registo de Eventos (Logs) Ferramentas de Ataque e Defesa Sistemas Detecção de intrusão e registos de actividades Redes Vulnerabilidades Redes sem fios Passwords Ferramentas de Backup Bibliografia Anexos 143 A-1. Modelo de documento de Política de Utilização da Rede 143 A-2. Legislação 149 8

4 Prefácio A sociedade tem evoluído no sentido de uma dependência crescente das tecnologias de informação e comunicação. Um conjunto cada vez mais alargado das nossas actividades é suportado por sistemas informáticos que comunicam entre si através de tecnologias e suportes físicos diversificados, transportando quantidades crescentes de informação sobre o que fazemos, como fazemos, o que lemos e ouvimos e para onde vamos. Nem sempre nos apercebemos do volume de informação que diariamente é recolhido em sistemas automáticos sobre o nosso quotidiano. E, sobretudo, daquilo que é possível fazer desde que se tenha acesso a essa informação. São conhecidas muitas histórias de acesso indevido a sistemas informáticos militares, organizacionais ou bancários (e ficam por conhecer muitas mais). No entanto, não são só estes que nos devem preocupar. O acesso a informações privadas em computadores pessoais, às comunicações (móveis, fixas ou correio electrónico), a padrões de navegação na internet ou a informações contidas nos mais diversos sistemas (fisco, segurança social, ensino, portagens, etc.) pode ser muito mais danoso a nível individual, criando problemas cuja resolução nem sempre é fácil. Apesar de tudo o que foi referido, continua-se a constatar na sociedade em geral uma grande insensibilidade para as preocupações mínimas de segurança que devem existir na utilização de qualquer sistema informático (seja essa utilização directa ou indirecta). Códigos de acesso óbvios, disponibilização fácil de informação de âmbito privado, desconhecimento e dificuldade em cumprir as mais elementares normas de segurança no acesso à internet, são algumas das principais falhas existentes. 9

5 NUNO CARVALHO O livro que agora é apresentado enquadra estas preocupações, abordando desde aspectos relacionados com a legislação até à enumeração de ferramentas de ataque e defesa, passando pela descrição dos principais procedimentos de segurança e dos tipos de ataques e actividades mais comuns. A sua leitura permitirá uma maior consciencialização das dificuldades com que nos defrontamos, mas também da forma como as podemos minimizar. O leitor ficará seguramente mais familiarizado com a forma de prevenir ataques, de os saber reconhecer e de como reagir quando ocorrerem. Embora não fugindo aos aspectos técnicos, o livro permite uma leitura agradável mesmo para os leitores menos familiarizados com as tecnologias de informação e comunicação, permitindo-lhe obter conhecimento que poderá utilizar no seu quotidiano. Prof. Dr. João Manuel Simões da Rocha Presidente do Conselho Directivo do Instituto Superior de Engenharia do Porto (ISEP) 10